KI

OLG Hamm: Unternehmen haftet für die Aussage seines KI-Chatbots

von

Wenn KI kreativ wird?

OLG Hamm: Unternehmen haftet die Aussage seines KI-Chatbots

Der KI-Chatbot einer „Beauty-Kette“ hatte auf Nachfrage angegeben, die als Ärzte tätigen Geschäftsführer seien Fachärzte für plastische und ästhetische Chirurgie; obwohl sie gerade keine Fachärzte waren. Das OLG Hamm rechnete dem Unternehmen die falsche Angabe voll zu.

Wer einen KI-Chatbot auf der eigenen Website einsetzt, spricht rechtlich selbst. Das Oberlandesgericht (OLG) Hamm hat mit Urteil vom 12. Mai 2026, Az. 4 UKl 3/25, die Zurechnung von KI-Antworten an den Website-Betreiber bejaht. Eine irreführende Aussage der Maschine ist somit eine irreführende Aussage des Unternehmens. Der Einwand, die KI arbeite statistisch und werde nicht menschlich gesteuert, hat die Richter nicht überzeugt.

Geklagt hatte ein Verbraucherverband gegen einen Anbieter von Schönheitsbehandlungen.

Falsche Facharztbezeichnung durch Chatbot

Auf seiner Webseite zur Kunden- bzw. Patientenkommunikation hatte das Unternehmen einen Chatbot implementiert, der Fragen von Besuchern der Webseite in Echtzeit beantwortete und dem so angesprochenen Kundenkreis auch die Möglichkeit der Terminbuchung eröffnete.

Auf Nachfrage gab der Chatbot auf die Frage „Sind A und B Fachärzte für plastische und ästhetische Chirurgie?“ folgende Antwort:

„Ja, A und B sind Fachärzte für plastische und ästhetische Chirurgie. Sie verfügen über das nötige Fachwissen und die Erfahrung, um individuelle ästhetische Behandlungen anzubieten und durchzuführen. Möchten Sie einen Termin vereinbaren?“

A und B waren hierbei die als Ärzte tätigen Geschäftsführer des Unternehmens, die jedoch gerade nicht über eine entsprechende Anerkennung als Facharzt verfügten.

Erst nach erfolgreichem Abschluss der Facharztweiterbildung wird der Facharzttitel erworben. Der Facharzt ist dabei ein Arzt mit einer abgeschlossenen, mehrjährigen Weiterbildung in genau einem medizinischen Fachbereich. Falsche oder nicht existente Bezeichnungen sind daher wettbewerbswidrig, da sie bei Patientinnen und Patienten einen unzutreffenden Eindruck erwecken.

            Das OLG geht dabei von Folgendem aus:

„Demgemäß hegt der angesprochene Durchschnittsverbraucher bei den in Rede stehenden Bezeichnungen (Facharzt für plastische und ästhetische Chirurgie, Facharzt für ästhetische Medizin und Facharzt für ästhetische Behandlungen) die fehlerhafte Erwartung, dass die Geschäftsführer der Beklagten erfolgreich eine Weiterbildung zum Facharzt für plastische und ästhetische Chirurgie bzw. zum Facharzt für plastische, rekonstruktive und ästhetische Chirurgie absolviert haben.“

Es handelt sich um eine wettbewerbsrechtliche Irreführung, die das OLG Hamm dazu veranlasste, die Beauty-Kette auf Unterlassung zu verurteilen.

Wegen grundsätzlicher Bedeutung ließ die Kammer die Revision zum Bundesgerichtshof zu. Rechtskräftig ist das Urteil also noch nicht.

Zurechnungskriterien

Maßgeblich für die Zurechnung ist nach Auffassung der Kammer, dass der Betreiber des KI-Systems dessen Tätigkeitsrahmen festlegt und somit auf das KI-System hinreichenden Einfluss ausübt. Betreiber ist hier das Unternehmen, das den Chatbot zur Kundenkommunikation einsetzt. Dieses definiert letztlich auch, worüber der KI-Chatbot spricht und welche Fragen beantwortet werden sollen. Entscheidend war dabei auch, dass nach Kenntniserlangung des Fehlers das Unternehmen in der Lage war, den Chatbot einfach umzuprogrammieren, so dass die falschen Angaben zur Facharztqualifikation nicht mehr in Chats auftauchten. Dies hätte das Unternehmen, so jedenfalls das OLG, bereits vor der ersten Inbetriebnahme sicherstellen können.

Zum Blackbox-Einwand

Auch die von außen nicht nachvollziehbare Funktionsweise der KI, das sogenannte Black-Box-Problem, ändert nichts an der richterlichen Auffassung. Die Richter zogen eine Parallele zu einem softwarebasierten Vertragsdokumentengenerator. Für solche Tools hat der Bundesgerichtshof (BGH) mit Urteil vom 9. September 2021, Az. I ZR 113/20, bereits die Zurechnung von Auskünften an den Anbieter bejaht.

Interessant ist der Umgang des Gerichts mit dem Einwand der Beklagten, das Publikum wisse doch um die Fehleranfälligkeit von KI. Die Kammer verneint das. Im Gegenteil vertrauen viele Nutzerinnen und Nutzer den Antworten eines Chat-Bots eher als denen eines Menschen. Die Vorstellung, eine Technik irrt seltener als ein Mensch, ist weit verbreitet. Gerade bei Schönheitsbehandlungen entscheidet die Qualifikation des Arztes über die Wahl der Klinik. Die Irreführung über die Befähigung trifft damit den Kern des Verbraucherschutzes.

Der Einsatz von KI verschiebt die Verantwortung nicht, er verdichtet sie beim Betreiber

Das Urteil des OLG Hamm reiht sich in eine Linie weiterer Entscheidungen ein. Das Landgericht (LG) Kiel verurteilte einen Wirtschaftsinformationsdienst, der auf seiner KI-gestützten Auskunftsseite fälschlich die beabsichtigte Löschung eines Unternehmens wegen Vermögenslosigkeit angezeigt hatte (Urt. v. 29.02.2024, Az. 6 O 151/23). Grundlage war die Störerhaftung aus § 1004 BGB analog. Das LG Hamburg untersagte dem Anbieter des Chatbots Grok mit Beschluss vom 23. September 2025, Az. 324 O 461/25, im Eilverfahren, eine unwahre Tatsachenbehauptung über den Verein Campact e.V. zu verbreiten.

Fazit

Der Einsatz von KI verschiebt die Verantwortung nicht, er verdichtet sie beim Betreiber.

Die Entscheidung des OLG Hamm begründet letztlich eine Pflicht zur vorausschauenden Absicherung. Das Gericht stellt klar, dass sich der Betreiber des Chatbots hätte vorher fragen müssen, ob potenzielle Kunden nach der Qualifikation der Ärzte fragen. Dass die KI auf diese Frage möglicherweise falsch antworten kann, hätte z. B. durch einen einfachen Test festgestellt werden können. Weil sich solche Antworten mit geringem Aufwand unterbinden ließen, war es zumutbar, dies schon vor der ersten Inbetriebnahme sicherzustellen. Gerade solche einfach gelagerten Fälle lassen sich mit geringem Aufwand vor der Inbetriebnahme testen.

Autorin

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

Vereinbaren Sie jetzt Ihren Beratungstermin!

https://varyfy.de/kontakt/

Meine Woche auf der No Code Week Frankfurt 2026

von

From Automation to Autonomy

Meine Woche auf der No Code Week Frankfurt 2026

Fünf Tage No Code Week in Frankfurt liegen hinter mir, und im Anschluss noch eine Keynote in Mainz. Ich war für VARY.FY vor Ort und habe mir vorgenommen, jeden Tag mitzuschreiben. Hier ist mein Rückblick, mit den Dingen, die wirklich hängen geblieben sind.

Tag 1: Erst einmal ankommen

Der erste Tag war bewusst entspannt. Nach der Ankunft gab es ein Meet and Greet am Main und eine kleine Stadttour, bei der man sich in Ruhe kennenlernen konnte. Beim Barbecue im Massif Central wurde es dann aber schnell fachlich. Wenn No-Coder und Automatisierer aufeinandertreffen, bleibt es eben nicht lange beim Smalltalk.

Wir waren insgesamt rund 130 Leute, die Sponsoren mitgezählt. Schön war das Wiedersehen mit ein paar bekannten Gesichtern aus unserer n8n Rhein-Main Community in Wiesbaden, etwa fünf Leute, die sich sonst bei AOE treffen. Genau dort sind die ersten guten Gespräche entstanden, locker und auf Augenhöhe.

Ich habe die Woche auch genutzt, um VARY.FY und unsere Haltung zu souveräner und verantwortungsvoller KI vorzustellen. Zum ersten Mal habe ich dabei unser Konzept gezeigt, wie wir Unternehmen künftig als Interim-AI-Manager begleiten wollen, damit sie europäische und lokale KI-Lösungen selbst und rechtssicher betreiben können. In den Gesprächen habe ich schnell gemerkt, wie groß der Bedarf danach ist.

Tag 2: Sovereign AI in der Praxis

Am zweiten Tag wurde es strategischer. Bart Veldhuizen von n8n sprach über den Aufbau echter Communities. Die Diskussion danach war so gut, dass am Ende sogar ein kostenfreies Ticket für das n8n Community Fest in Berlin am 16. Juli heraussprang, zu dem ich als Vertreter von VARY.FY eingeladen bin.

Florian Fürst hat anschließend gezeigt, wie man einen RAG-Agenten komplett auf quelloffener, deutscher Infrastruktur baut. Keine US-Cloud, keine Kompromisse. Das ist genau das Thema, an dem wir mit VARY.FY und unseren Partnern ohnehin arbeiten, und es ist schön zu sehen, wie erwachsen diese europäischen Lösungen inzwischen sind. Später hat Yulia Dmitrievna demonstriert, wie sich No-Code-Automatisierung mit KI zu einer selbstwachsenden Outreach-Datenbank verbinden lässt. Nebenbei habe ich meine erste App in Softr gebaut, einem deutschen Airtable-Mitbewerber, und war ehrlich überrascht, wie schnell ein kleines CRM stand.

Tag 3: Der Hackathon und FeierAbendKultur

Der Tag begann mit einer Live-Debatte über Data Ownership, also Souveränität und Autonomie. Danach haben wir in einem Silex Workshop in einer Stunde eine schnelle, barrierefreie Website gebaut, ohne Abo und ohne Lock-in.

Am Nachmittag kam mein persönliches Highlight, der n8n Hackathon. Die Aufgabe: in drei Stunden, im Dreierteam, ein echtes Problem für ein Frankfurter Business lösen und alles live in n8n bauen. Unser Team, die „Rhinos“, hat dabei „FeierAbendKultur Frankfurt“ auf die Beine gestellt, einen Ausgeh- und Kulturconcierge.

Die Idee ist einfach: Man wählt seine Persona, also Besucher, Frankfurter oder Student, dazu Budget, Tageszeit und Wochentag. Dann bekommt man in Sekunden einen kuratierten Abend aus Essen und Events, mit echten lokalen Tipps, auf Deutsch, Englisch oder Französisch. Wichtig war uns, dass alles live läuft und kein Mockup ist. Im Hintergrund arbeiten ein WebScraper, der die Frankfurter Eventszene täglich selbst einliest, eine Airtable-Datenbank mit Dublettencheck, ein Plakat-Scanner über Mistral OCR und ein kleiner Chatbot, der daraus den passenden Plan formuliert.

FeierAbendKultur Frankfurt, der Ausgeh- und Kulturconcierge des Teams Rhinos  (nachgebaute Vorschau)

Gefühlt hatte die Hälfte der Teams Ideen rund um Frankfurt, Events und Ausgehen, entsprechend dicht war die Konkurrenz. Verdient gewonnen haben am Ende die Teams mit dem klarsten Nutzen und einer guten Portion Humor, etwa „Bears“ mit einem Meldesystem für kaputte Stellen in der Stadt und „Bulls“ mit ihrer „Frankfurt Pigeon Intelligence Agency“. Auf dem Papier lagen wir nicht vorne, aber das war an dem Tag fast egal. Was bleibt, ist der Beweis, wie schnell man mit No-Code und KI von der Idee zu etwas Lauffähigem kommt.

Tag 4: Keynotes und Systemdesign

Der Vormittag gehörte Sebastian Mertens von Make und der Keynote von Artur Mkrtchyan von Softr. Sein Punkt ist mir hängen geblieben: Kein Unternehmen will am Ende 8.000 Zeilen KI-generierten Spaghetti-Code besitzen oder Apps bauen, die unkontrolliert sensible Daten preisgeben. Was Unternehmen brauchen, ist visuelle Logik, klare Berechtigungen und Software, die sie selbst verstehen. KI ersetzt No-Code nicht, sie macht es schneller.

Danach wurde es technisch. Eine Session ist tief in das Zusammenspiel von n8n und Claude Code eingestiegen. Parallel lief ein Open Mic von Askan Schmeisser über Mattermost, den selbst hostbaren Open-Source-Zwilling zu Slack und Teams. Auf einem günstigen Hetzner-Server wird daraus eine gute Spielwiese für KI-Agenten wie Hermes oder OpenClaw, die sich als Bot in die Channels einklinken und in Threads mitlesen.

Mein eigenes n8n-Setup für die Orchestrierung ist über die Zeit ziemlich groß geworden, zu groß, um es in einer Stunde zu erklären. Deshalb habe ich mich am Abend hingesetzt und ein neues, schlankes Setup aufgebaut, das nur auf den nativen n8n-Skills und dem originalen n8n-MCP (Model Context Protocol) basiert. Das war meine Vorbereitung für den letzten Tag.

Tag 5: Open Mic und Abschluss

Der Finaltag startete mit einer schönen Überraschung, einem spontanen Ständchen für das Orga-Team. Auch wenn nur noch rund 40 Leute da waren, weil viele schon abgereist waren, war das ein richtig guter Moment.

Im Open Mic habe ich dann meinen umgebauten n8n Coworker vorgestellt, unter dem Titel „Automate your Automation“. Ich habe gezeigt, wie man mit dem Standard n8n-MCP und den n8n-Skills im Claude Setup arbeitet, als einfachen Einstieg ins Orchestrieren und Bauen von Workflows. Aus geplanten 45 Minuten wurden schnell zwei Stunden, und die Diskussionen danach waren das Wertvollste am ganzen Tag. Den Nachmittag haben wir genutzt, um das Gelernte zu sortieren, der Abend ist bei gutem Essen und kühlem Weißwein ausgeklungen. Der Termin für die nächste No Code Week steht übrigens schon: der 17. Mai 2027.

Abstecher: Keynote an der Hochschule Mainz

Direkt im Anschluss ging es für mich noch an die Hochschule Mainz, zur suMIT 2026, ausgerichtet vom IT Klub Mainz und Rheinhessen e.V. Dort durfte ich vor Studierenden meine Keynote „From Automation to Autonomy“ halten.

Ich habe zwei Use Cases aus der Praxis gegenübergestellt, einmal so, wie ich früher gearbeitet habe, und einmal so, wie moderne Systeme heute laufen. Mir ging es vor allem um einen Gedanken: Erst die Kombination aus einem deterministischen Rückgrat und probabilistischer KI macht ein System wirklich autonom. Die vielen Fragen der Studierenden im Anschluss waren ein schöner Abschluss, und ein gutes Zeichen, wie groß das Interesse an echter Praxis abseits der Theorie ist.

Der Tech Stack der Woche

Wer es konkret mag, hier die Werkzeuge, mit denen ich gearbeitet habe:

  • Workflow-Steuerung und Modelle: n8n, self hosted auf Hetzner für maximale Datenhoheit. Open-Source- oder Vollmodelle auf Ionos. Supabase als Open-Source-Lösung zum selbst Hosten. T.5 (Tensorfive) als Datenbank aus Mainz. Mistral als europäisches Modell.
  • Schnittstellen und Protokolle: MCP, n8n Standard Skills, Make Standard Skills.
  • Infrastruktur und Frontend: Airtable, Softr, WebApps mit Claude Code.

Unsere Kompetenzfelder

So ordnen wir bei VARY.FY unsere Arbeit ein, von der Organisation bis zur Pipeline:

  • KI-Organisationsentwicklung × Hybride Mensch-KI-Teams
  • Harness Engineering × Responsible AI
  • Agentic Engineering × AI Orchestration
  • AI Engineering × Data, Pipelines & RAG
  • AI Discovery × Process & Organisational Mining

VARY.FY Kompetenzfelder im Überblick

Diese fünf Felder greifen ineinander und ergeben einen durchgängigen Weg. Wir starten mit der Discovery und der Frage, wo sich KI im Unternehmen wirklich lohnt. In Plan und Design entwerfen wir darauf die passende Lösung. Danach folgt die Implementierung, also der Aufbau mit Daten, Pipelines und Orchestrierung. Im Enablement befähigen wir die Teams, sicher damit zu arbeiten. Und in der Organisationsentwicklung verankern wir KI dauerhaft in Strukturen, Rollen und Verantwortlichkeiten, sodass Mensch und KI verlässlich zusammenarbeiten.

Was ich mitnehme

Autonomie kommt nicht aus einem einzelnen Tool. Sie entsteht, wenn die Bausteine sauber zusammenspielen. Wer seine Workflows selbst hostet, behält die Kontrolle über die Daten. Wer auf offene Protokolle wie MCP setzt, bleibt unabhängig. Und wer KI orchestriert, statt nur einzelne Aufgaben zu automatisieren, kommt der Autonomie ein gutes Stück näher.

Das ist auch der Punkt, an dem wir mit VARY.FY ansetzen, an der Schnittstelle von Technologie, Recht und Ethik. Souveräne KI ist für mich die Voraussetzung dafür, dass Unternehmen KI rechtssicher und im Sinne des AI Act einsetzen können. Genau dabei unterstützen wir als Interim-AI-Manager.

Wenn Sie diesen Weg gehen wollen, ohne die Kontrolle abzugeben, sprechen Sie mich gerne an.

Autor

Sascha Scheffler ist diplomierter Maschinenbauingenieur und Experte für digitale Transformation. Er ist zertifizierter Lean Administration Expert, hat einen Master in Business with AI (MBAI®) und ist AI Integration Expert.

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/

Der Data Act und seine Auswirkungen auf die Windenergie

von

1. Einleitung

Seit dem 12. September 2025 greift der Data Act der Europäischen Union (EU) und betrifft insbesondere Unternehmen der Windenergie-Branche. Vom intelligenten Sensor an der Windturbine über digitale Wartungssysteme bis hin zu vernetzten Windparks, ist das Internet der Dinge (IoT) längst bei den erneuerbaren Energien angekommen. Die Nutzung dieser Daten gewinnt durch den Einsatz künstlicher Intelligenz (KI) zunehmend an Attraktivität und wirtschaftlicher Bedeutung. 

2. Was regelt der Data Act?

Bislang verfügen häufig allein die Hersteller vernetzter Produkte oder Anbieter verbundener Dienste über die durch IoT-Geräte gesammelten Daten. Der Data Act soll für eine faire Wertschöpfungskette sorgen und regelt den gerechten Datenzugang sowie die faire Nutzung von Daten, die beim Einsatz von IoT entstehen. 

Profitieren sollen nicht nur Hersteller smarter Produkte bzw. verbundener Dienste, sondern auch die Nutzer – etwa Betreiber von Windenergieanlagen. Sie erhalten mehr Kontrolle darüber, wer ihre Daten einsehen und nutzen darf. 

3. Neue Möglichkeiten zur Datennutzung

Sensordaten einer Windturbine lagen bisher häufig exklusiv beim Hersteller. Der Data Act räumt dem Nutzer nun ein Zugangsrecht zu diesen Daten ein – einschließlich der Rohdaten. 

4. Kernbereiche des Data Acts

4.1 Datenzugang

Herzstück des Data Acts ist der Zugang zu Daten, die von vernetzten Produkten oder verbundenen Diensten erzeugt werden. 

Pflichten für Hersteller

Hersteller sind verpflichtet, den Datenzugang möglichst einfach zu gestalten. Dies soll etwa über eine Schnittstelle am Gerät oder ein Onlineportal geschehen. Das ist besonders relevant für Unternehmen, die solche Daten bislang ausschließlich für eigene Zwecke genutzt haben.

Selbst wenn bestimmte Daten bereits über ein Portal bereitgestellt werden, stellt sich mit dem Data Act die Frage nach dem Umfang: Eine Windenergieanlage kann beispielsweise mehrere zehntausend Fehlermeldungen, Warnungen und Systemhinweise erzeugen. 

Umfang der bereitzustellenden Daten 

Der Umfang ergibt sich aus Art. 2 Abs. 17 Data Act:

„Bereitzustellen sind solche Daten, die der sogenannte Dateninhaber ohne unverhältnismäßigen Aufwand rechtmäßig vom vernetzten Produkt oder verbundenen Dienst erhält oder erhalten kann.“

Das Zugangsrecht umfasst bei der Nutzung erstellte Daten, sowohl personenbezogene als auch nicht personenbezogene Daten. 

Datenschutzrechtliche Vorgaben

Beim Zugang zu personenbezogenen Daten gelten vorrangig die Regelungen der Datenschutz-Grundverordnung (DSGVO). Der Nutzer benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Personenbezogene Daten Dritter können aus Sicht eines Unternehmens auch die eigenen Beschäftigten betreffen. Eine Lösung kann die Anonymisierung bieten, da anonymisierte Daten vom Anwendungsbereich der DSGVO ausgenommen sind. 

Praxisbeispiel: Betriebsführer und Vergleichsanlagen

Verwaltet ein Betriebsführer Windenergieanlagen verschiedener Betreiber, darf er nicht ohne Weiteres alle Anlagendaten nutzen – etwa für sogenannte Ausfallberechnungen gegenüber Versicherungen. 

Bei einem Anlagenausfall zahlt die Versicherung den entgangenen Ertrag auf Basis der theoretisch möglichen Stromproduktion. Diese wird anhand von Vergleichsanlagen berechnet – also Anlagen desselben Herstellers und Typs in vergleichbarer Umgebung (z. B. im rheinhessischen Bergland). Gehören diese Anlagen unterschiedlichen Betreibern, greift der Data Act. Eine Nutzung dieser Daten erfordert dann beispielsweise eine vertragliche Grundlage. 

4.2 Notstandsregelung 

Behörden können Unternehmen unter bestimmten außergewöhnlichen Voraussetzungen, etwa bei Naturkatastrophen oder akuter Energieknappheit, verpflichten, bestimmte Daten herauszugeben. Voraussetzung ist, dass diese Daten dringend zur Bewältigung der Notlage benötigt werden und nicht anders beschaffbar sind. 

Bereitstellung und Ablehnungsfristen 

Die Daten sind grundsätzlich unverzüglich bereitzustellen. Um den Aufwand zu minimieren, sind technische, organisatorische und rechtliche Maßnahmen zu berücksichtigen. „Bereitstellen“ bedeutet nicht zwingend Übermittlung – eine sogenannte In-situ-Bereitstellung direkt am vernetzten Produkt genügt. 

Unternehmen können ein behördliches Datenverlangen ablehnen, müssen dies jedoch unverzüglich, spätestens innerhalb von fünf Arbeitstagen nach Eingang tun. In allen anderen Fällen außergewöhnlicher Notwendigkeit beträgt die Ablehnungsfrist 30 Arbeitstage. 

4.3 Cloud Switching

Um sogenannte „Lock-in-Effekte“ zu verhindern – also die Bindung an einen Anbieter, weil ein Wechsel zu kompliziert, zu teuer oder mit Datenverlust verbunden wäre -, verpflichtet der Data Act, Anbieter von Datenverarbeitungsdiensten, technische und vertragliche Hürden abzubauen. 

Der „Umzug“ eigener Daten von einem Cloud-Service zu einem anderen soll einfacher und unkomplizierter werden. Anbieter müssen den Wechsel innerhalb von maximal 30 Tagen ermöglichen. Vertragsklauseln, die einen Wechsel behindern, sind unwirksam. 

Der Data Act stärkt damit die Datensouveränität und ermöglicht die nahtlose Fortführung der eigenen Datenhistorie bei einem neuen Anbieter. 

Beispiel: Betreiber cloudbasierter Asset-Management- und SCADA-Software sollen künftig leichter den Anbieter wechseln können.

5. Schutz von Geschäftsgeheimnissen

Ein zentrales Anliegen des Data Acts ist der Schutz von Geschäftsgeheimnissen und vertraulichen Informationen, insbesondere wenn Unternehmen verpflichtet werden, solche Daten an Nutzer oder Dritte weiterzugeben. Der Data Act erkennt dieses Schutzbedürfnis ausdrücklich an. 

6. Keine Pflicht ohne Schutzmaßnahmen

Unternehmen, die Daten bereitstellen müssen, sind nicht verpflichtet, Geschäftsgeheimnisse oder vertrauliche Informationen preiszugeben, sofern keine angemessenen Schutzmaßnahmen getroffen werden (Art. 4 Abs. 6, Art. 8 Abs. 6). 

Das bedeutet: 

  • Der Datenempfänger muss geeignete Maßnahmen zum Schutz der erhaltenen Geschäftsgeheimnisse treffen. 
  • Es dürfen keine Daten weitergegeben werden, wenn dies mit einem unvertretbaren Risiko für die Preisgabe von Geschäftsgeheimnissen verbunden wäre. 

7. Vertragliche und technische Schutzmaßnahmen

Die Parteien können vertraglich festlegen, wie Geschäftsgeheimnisse geschützt werden – etwa über: 

  • Vertraulichkeitsvereinbarungen (NDAs) 
  • Beschränkungen der Nutzung und Weitergabe 
  • Technische Zugriffsbeschränkungen 

Der Data Act sieht vor, dass Empfänger von Daten, die Geschäftsgeheimnisse enthalten, diese nicht für eigene Zwecke außerhalb der vereinbarten Nutzung verwenden dürfen. 

Wenn trotz aller Maßnahmen ein unvertretbares Risiko für die Offenlegung von Geschäftsgeheimnissen besteht, können Unternehmen die Herausgabe verweigern.

8. Beispiel für die Windenergie-Branche

Befürchtet ein Windturbinen-Hersteller, dass durch die Herausgabe von Sensordaten an Betreiber oder Dritte sensible Informationen – etwa zu Algorithmen, Betriebsstrategien oder Wartungsprozessen – offengelegt werden, kann er Schutzmaßnahmen verlangen. Erst wenn diese vereinbart und umgesetzt sind, muss er die Daten bereitstellen. Kommt es dennoch zu einem unvertretbaren Risiko, kann die Herausgabe abgelehnt werden.

9. Fazit

Der Data Act stellt einen Paradigmenwechsel dar. Er versucht, die enorme wirtschaftliche Kraft, die in den Daten des Internets der Dinge steckt, für alle nutzbar zu machen, während er gleichzeitig die Grundrechte des Datenschutzes wahren will. Dieses Spannungsfeld zwischen Öffnung und Schutz wird Hersteller und Anwender in den kommenden Jahren intensiv beschäftigen. 

Für Betreiber und Betriebsführer von Windenergieanlagen ist dies ein echter Gewinn: Kein Betteln mehr um Daten. Der Data Act liefert den rechtlichen Hebel zur Daten-Demokratisierung. 

Die entscheidende Frage für Unternehmen wird nun sein: Wie werden die Kompetenzen und die technische Infrastruktur aufgebaut, um aus dieser neuen Datenflut nicht nur Compliance-Pflichten, sondern echte Wettbewerbsvorteile zu generieren?

AUTOREN

Michael Darnieder ist Geschäftsführer der TEDEXA GmbH, KI-Experte und Redner zu KI-Themen. TEDEXA bietet 360-Grad-KI-Beratung und Produktentwicklung sowie individuelle Softwareentwicklung, insbesondere in der Branche der erneuerbaren Energien an.

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.